Provimento 49, de 04/08/2021
Poder Judiciário da União
Tribunal de Justiça do Distrito Federal e dos Territórios
Gabinete da Corregedoria
PROVIMENTO 49, DE 04 DE AGOSTO DE 2021
Dispõe sobre a adequação do serviço extrajudicial do Distrito Federal ao regime estabelecido pela Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD).
A CORREGEDORA DA JUSTIÇA DO DISTRITO FEDERAL E DOS TERRITÓRIOS, no uso de suas atribuições legais e regimentais e
CONSIDERANDO o regime de proteção dos dados pessoais estabelecido pela Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD);
CONSIDERANDO que o regime de tratamento de dados pessoais se aplica aos serviços extrajudiciais de notas e de registros prestados na forma do art. 236 da Constituição da República;
CONSIDERANDO o disposto no artigo 23, §§ 4º e 5º, da LGPD;
CONSIDERANDO a Resolução nº 363/2021, do Conselho Nacional de Justiça (CNJ), que determina aos serviços extrajudiciais adequação à LGPD, no âmbito de suas atribuições;
CONSIDERANDO o disposto nos processos SEI 16.604/2020, 20.607/2020 e 5065/2021;
RESOLVE:
Art. 1º Dispor sobre a adequação do serviço extrajudicial do Distrito Federal ao regime estabelecido pela Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD).
CAPÍTULO I
DISPOSIÇÕES GERAIS
Art. 2º Este provimento aplica-se a qualquer operação de tratamento de dados pessoais realizada pelos serviços extrajudiciais, independentemente do meio ou onde estejam armazenados os dados.
Art. 3º Os serviços extrajudiciais, no tratamento de dados pessoais relativos ao exercício de suas atividades, devem atuar garantindo a proteção dos direitos fundamentais da liberdade, da privacidade, do livre desenvolvimento da personalidade da pessoa natural, bem como praticarem os atos notariais e de registro em cumprimento aos fundamentos e princípios estabelecidos na LGPD e nas demais leis e normas que regulam esses serviços.
Art. 4º Os serviços extrajudiciais devem adotar um plano de classificação de documentos.
Parágrafo único. O plano de classificação de documentos é a enunciação lógica e hierárquica do conjunto de documentos produzidos e recebidos na realização das atividades do serviço extrajudicial, com a finalidade de refletir a totalidade da sua produção documental, bem como de representar a relação dos documentos com os processos de trabalho nos quais são gerados e vinculados, indicando a classificação de sigilo adequada às tipologias dos atos notariais e registrais e os documentos envolvidos.
CAPÍTULO II
DO CONTROLADOR, DO OPERADOR E DO ENCARREGADO DOS DADOS PESSOAIS
Art. 5º O controlador é o titular da delegação, que deverá observar no exercício da atividade o regime estabelecido pela LGPD e pelos atos normativos do Conselho Nacional de Justiça (CNJ).
§ 1º Consideram-se inerentes ao exercício da atividade os atos praticados nos livros mantidos por força de previsão na legislação específica, incluídos:
I – atos de inscrição, transcrição, registro, averbação, anotação, escrituração de livros de notas, reconhecimento de firmas, autenticação de documentos;
II – comunicações para unidades distintas, visando realizar anotações nos livros e atos nelas mantidos;
III – atos praticados para a escrituração de livros previstos em normas administrativas;
IV – informações e certidões;
V – atos de comunicação e informação para órgãos públicos e para centrais de serviços eletrônicos compartilhados que decorrerem de previsão legal ou normativa.
§ 2º Os interinos e interventores exercem temporariamente as atribuições de controlador, enquanto designados para responder pelo expediente da serventia.
Art. 6º Compete ao controlador:
I – indicar expressamente o encarregado pelos dados pessoais, que poderá ser preposto do quadro do serviço extrajudicial delegado ou mesmo pessoa física ou jurídica prestadora de serviço especializado, devendo ser informada a indicação à Corregedoria da Justiça do Distrito Federal e dos Territórios;
II – disponibilizar o nome e as informações de contato do encarregado, de forma clara e objetiva, em local visível na sede da serventia e também no sítio eletrônico, caso existente;
III – contratar operadores;
IV – designar seu substituto dentre os oficiais responsáveis pelo expediente da serventia em sua ausência;
V – instituir uma política de proteção de dados pessoais e de segurança da informação em conformidade com a LGPD e os atos normativos do CNJ;
VI – fornecer as instruções para a política de governança dos dados pessoais e respectivos programas, dentre as quais:
a) o modo como serão tratados os dados pessoais, a fim de que os respectivos processos sejam auditáveis;
b) a aplicação da metodologia de gestão de riscos no tratamento de dados;
c) a aplicação de metodologias de segurança da informação.
VII – determinar a capacitação dos operadores, para que atuem com responsabilidade, critério e ética;
VIII – incentivar a disseminação da cultura da privacidade de dados pessoais;
IX – comunicar à Autoridade Nacional de Proteção de Dados (ANPD), ao titular dos dados e à Corregedoria da Justiça do Distrito Federal e dos Territórios, a ocorrência de incidentes de segurança com os dados pessoais que possam causar danos ou risco relevantes ao titular e a terceiros.
Parágrafo único. A critério do controlador, poderá ser indicado encarregado disponibilizado pelas entidades representativas de classe para seus associados, de acordo com a atribuição.
Art. 7º Compete aos operadores:
I – documentar as operações que lhe cabem realizar durante o processo de tratamento de dados pessoais;
II – proteger a privacidade dos dados pessoais desde a coleta ou recepção;
III – descrever os tipos de dados coletados;
IV – utilizar metodologia de coleta dos dados pessoais que considere a minimização necessária para alcançar a finalidade do processo;
V – capacitar-se para exercer as atividades que envolvam dados pessoais com eficiência, ética, critério e responsabilidade.
Art. 8º O controlador e os operadores respondem solidariamente por todo tratamento inadequado dos dados pessoais dos quais resulte, dentre outros, prejuízo ao titular e comprometimento da confiabilidade do serviço extrajudicial, nos termos e limites do art. 42 e seguintes da LGPD.
Parágrafo único. A apuração de eventual descumprimento dos deveres decorrentes da LGPD, para efeito de responsabilidade disciplinar com fundamento na Lei nº 8.935/1994, será realizada pela Corregedoria da Justiça do Distrito Federal e dos Territórios, com fulcro no Provimento-Geral da Corregedoria aplicado aos Serviços Notariais e de Registro, independentemente das sanções administrativas impostas pela ANPD.
Art. 9º Compete ao encarregado indicado:
I – ser o canal de comunicação entre o controlador e:
a) o titular de dados pessoais;
b) a ANPD;
c) a Corregedoria da Justiça do Distrito Federal e dos Territórios.
II – prestar esclarecimentos, realizar comunicações, orientar operadores e contratados terceirizados sobre as práticas adotadas ou a serem adotadas para garantir a proteção dos dados pessoais dos titulares;
III – determinar a publicidade da dispensa de consentimento para o tratamento de dados pessoais, em conformidade com o previsto na LGDP e os atos normativos do CNJ;
IV – executar as atribuições determinadas pelo controlador;
V – receber os pedidos de informação e as reclamações realizadas pelos titulares quanto ao tratamento de seus dados, respondê-las e adotar providências para que sejam sanados os desvios;
VI – deter amplo e sólido conhecimento sobre a legislação de proteção de dados pessoais e normas correlatas;
VII – deter conhecimentos técnicos sobre segurança e governança de dados;
VIII – realizar o atendimento dos titulares de dados pessoais internos e externos ao serviço extrajudicial;
IX – manter a comunicação sobre o tratamento de dados pessoais com as autoridades internas e externas ao serviço extrajudicial;
X – apoiar a implementação e a manutenção de práticas de conformidade do serviço extrajudicial à legislação sobre o tratamento de dados pessoais;
XI – estabelecer campanhas educativas no serviço extrajudicial sobre o tratamento de dados pessoais;
XII – informar ao controlador sobre os incidentes no tratamento de dados pessoais.
CAPÍTULO III
DO TRATAMENTO DOS DADOS PESSOAIS
Art. 10. Os serviços extrajudiciais de notas e de registro deverão observar a necessidade do tratamento e proteção dos dados pessoais e informar aos usuários por meio de cartazes, site e demais canais de comunicação da serventia, de modo claro e atualizado, em lugar de fácil acesso, informações sobre a privacidade de dados pessoais constando:
I – as hipóteses que fundamentam a realização do tratamento de dados pessoais;
II – a previsão legal, a finalidade e os procedimentos para tratamento de dados pessoais;
III – a identificação do controlador e do encarregado e o contato destes;
IV – as responsabilidades dos operadores envolvidos no tratamento e os direitos do titular.
Parágrafo único. As serventias deverão se atentar para produzir avisos de privacidade com redação em linguagem compreensível e direcionada ao público e com a utilização de técnicas de Visual Law e Legal Design (linguagem clara e elementos ilustrativos), observando o atendimento do art. 6º, inciso VI; do art. 9º, caput e §1º e do art. 14, §6º, da LGPD.
Art. 11. O tratamento dos dados pessoais deverá ser realizado na integralidade do ciclo, considerando:
I – acesso;
II – coleta;
III – avaliação;
IV – classificação;
V – armazenamento;
VI – controle;
VII – extração;
VIII – comunicação;
IX – distribuição;
X – difusão;
XI – eliminação;
XII – modificação;
XIII – processamento;
XIV – produção;
XV – recepção;
XVI – reprodução;
XVII – transferência;
XVIII – transmissão;
XIX – utilização.
Art. 12. O tratamento de dados decorrente da prática de ato notarial e registral, em cumprimento de obrigação legal ou normativa, independe de autorização específica da pessoa natural que deles for titular, em razão das bases legais constantes no art. 7º, incisos II, V e VI da LGPD.
Art. 13. Os serviços extrajudiciais deverão armazenar somente os dados úteis e necessários à prática do ato com observância aos requisitos de segurança cibernética, aos padrões de boas práticas e de governança e aos princípios gerais estabelecidos na LGPD e nas normativas do CNJ.
CAPÍTULO IV
DO FLUXO DE TRATAMENTO DE DADOS PESSOAIS
Art. 14. Os serviços extrajudiciais devem instituir:
I – sistema de controle do fluxo abrangendo a coleta, tratamento, armazenamento e compartilhamento de dados pessoais, até a restrição de acesso futuro, que conterá:
a) a identificação das formas de obtenção dos dados pessoais, do tratamento interno e do seu compartilhamento;
b) a finalidade do tratamento e sua base legal ou normativa, além da identificação do titular da informação;
c) a categoria dos dados, que poderá ser pessoal, pessoal sensível ou anonimizado;
d) categoria dos destinatários;
e) o prazo para conservação da informação;
f) o sistema de armazenamento, onde os dados serão guardados, conforme previsto pelo CNJ e outras normas correlatas.
II – política de privacidade que descreva os direitos dos titulares de dados pessoais, de modo claro e acessível, os tratamentos realizados e a sua finalidade;
III – canal de atendimento adequado para informações, reclamações e sugestões ligadas ao tratamento de dados pessoais, com fornecimento de formulários para essa finalidade.
Parágrafo único. Os sistemas de fluxo devem possibilitar que a continuidade dos serviços prestados pela serventia, bem como a transmissão dos dados coletados, tratados, e armazenados, protegendo-se de acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, sendo vedado o compartilhamento dos dados pessoais sem autorização específica, legal ou normativa e permitir, quando necessário, a elaboração dos relatórios de impacto previstos nos arts. 32 e 38 da LGPD.
Art. 15. O fluxo criado deve possibilitar sua revisão, bem como a verificação do caminho percorrido pelos dados para que seja possibilitada a identificação dos responsáveis pelo seu tratamento em cada etapa.
Art. 16. Finalizado o ciclo de tratamento de dados, a eliminação de documentos correntes, intermediários e permanentes deve ocorrer nos termos da LGPD, das tabelas de temporalidade previstas na legislação correlata e nos atos normativos do CNJ.
Parágrafo único. Os serviços extrajudiciais deverão armazenar, após finalizado o ciclo de tratamento, somente os dados necessários nos termos da legislação de regência.
CAPÍTULO V
DO ACESSO, DA ALTERAÇÃO E DA EXCLUSÃO DOS DADOS PELO TITULAR DOS DADOS PESSOAIS
Art. 17. O acesso aos dados pessoais deverá ser franqueado gratuitamente aos titulares das informações objeto de tratamento, podendo a consulta abranger a exatidão, clareza, relevância, atualização, a forma e duração do tratamento e a integralidade dos dados pessoais.
§ 1º A consulta poderá ser realizada em meio físico ou eletrônico e não terá efeito de certidão.
§ 2º O titular dos dados pessoais poderá obter certidão, para efeito de publicidade e vigência, mediante pagamento de emolumentos previstos na Tabela do Regimento de Custas dos Serviços Notariais e de Registro do Distrito Federal.
§ 3º A retificação de dado pessoal constante em registro e em ato notarial deverá observar o procedimento, extrajudicial ou judicial, previsto na legislação ou em norma específica.
§ 4º A serventia extrajudicial deve disponibilizar canal de contato para prestação de esclarecimentos, recebimento de reclamações e sugestões ligadas ao tratamento de dados pessoais, com estabelecimento de formulários específicos para essa finalidade.
§ 5º As demandas serão documentadas em sistema informatizado próprio, em ordem cronológica e constarão dos registros:
a) número da manifestação;
b) dados cadastrais do titular dos dados pessoais;
c) data do recebimento da manifestação;
d) tipo de demanda;
e) relato do titular dos dados pessoais;
f) informações que componham o histórico do tratamento de cada manifestação;
g) resposta ao titular dos dados pessoais.
CAPÍTULO VI
DOS INCIDENTES DE SEGURANÇA
Art. 18. Os incidentes de segurança que comprometam, ainda que parcialmente, dados pessoais, devem ser comunicados pelo controlador à Corregedoria da Justiça do Distrito Federal e dos Territórios e à ANPD, no prazo máximo de 48 horas.
§ 1º O controlador deve adotar um protocolo de registro, com a consequente instauração de procedimento interno para apuração do incidente e adoção das providências pertinentes.
§ 2º A comunicação do incidente deve conter a natureza do incidente, as medidas que foram e serão adotadas para a apuração das causas, quais os impactos causados, bem como quais foram as ações de mitigação de novos riscos do objeto da ocorrência.
CAPÍTULO VII
DO PLANO DE RESPOSTA A INCIDENTES
Art. 19. Os serviços extrajudiciais deverão instituir, em caráter permanente, um plano de resposta a incidentes de segurança da informação físicos, tecnológicos e humanos.
Parágrafo único. Para os efeitos deste provimento, entende-se por:
I – incidentes de segurança da Informação: qualquer indício de fraude, sabotagem, espionagem, desvio, falha ou evento indesejado ou inesperado que tenha probabilidade de comprometer ou ameaçar a segurança dos dados pessoais;
II – processo de gestão de incidentes de segurança da Informação: conjunto de ações referentes ao tratamento de incidentes de segurança, incluindo o fluxo de ações para identificar, avaliar e responder ao incidente no intuito de minimizar os danos, bem como reportar as vulnerabilidades para prevenir futuras ocorrências.
Art. 20. Os serviços extrajudiciais devem, para prevenir e responder a eventuais incidentes de segurança da informação:
I – implementar o processo de gestão de incidentes de segurança da informação nos serviços humanos e de tecnologia da informação;
II – receber notificações de incidentes de segurança da informação;
III – facilitar e coordenar as atividades de tratamento e de resposta a incidentes de segurança.
CAPÍTULO VIII
DISPOSIÇÕES FINAIS
Art. 21. O controlador deve implementar políticas de privacidade e conformidade, assegurando-se o cumprimento das normas e boas práticas relativas à proteção de dados pessoais, com descrição dos tratamentos realizados com a informação e sua finalidade, além dos direitos dos titulares de dados pessoais, estabelecendo mecanismos internos de supervisão, mitigação de riscos e de resposta a incidentes de segurança.
Parágrafo único. Para fomentar a cultura da privacidade de dados, o controlador deve oferecer treinamento contínuo aos seus substitutos, escreventes, auxiliares e colaboradores, arquivando os respectivos comprovantes.
Art. 22. O controlador deverá orientar e cientificar o encarregado, os substitutos, escreventes, auxiliares e colaboradores da serventia, inclusive os prestadores de serviços terceirizados, acerca das disposições da LGPD e dos atos normativos do CNJ, bem como sobre a confidencialidade dos dados pessoais que deverão resguardar o devido sigilo e não os repassar a terceiros, sob pena de responsabilização.
§ 1º Após, a orientação e cientificação mencionada no caput, o titular da delegação colherá termo de ciência acerca das disposições da LGPD e dos atos normativos do CNJ, bem como termo de confidencialidade.
§ 2º Os termos de ciência e de confidencialidade deverão ser arquivados pelo controlador para análise em eventual apuração de responsabilidade.
Art. 23. A Corregedoria da Justiça do Distrito Federal e dos Territórios fiscalizará o cumprimento deste provimento nas correições ordinárias e extraordinárias realizadas nos serviços extrajudiciais.
Art. 24. Este provimento entra em vigor no prazo de 90 (noventa) dias após a data de sua publicação.
Desembargadora CARMELITA BRASIL
Corregedora da Justiça do Distrito Federal e dos Territórios
ESTE TEXTO NÃO SUBSTITUI O DISPONIBILIZADO NO DJ-E DE 12/08/2021, EDIÇÃO N. 152. Fl. 379-383. DATA DE PUBLICAÇÃO: 13/08/2021